En un escenario de creciente inestabilidad en la seguridad digital, donde los exchanges de activos digitales han registrado ocho incidentes de seguridad en tan solo nueve días, una nueva ola de amenazas ha puesto el foco sobre WordPress. El sistema de gestión de contenidos, que sustenta a millones de medios de comunicación, tiendas virtuales y pasarelas de pago a nivel global, enfrenta actualmente tres amenazas activas que están siendo explotadas por atacantes en las últimas semanas. De estas vulnerabilidades, una se encuentra en el corazón mismo del núcleo de WordPress y otra afecta directamente a un plugin especializado en pagos con criptomonedas.
El riesgo asociado a un sitio web comprometido trasciende la simple pérdida de datos. Según los reportes técnicos, un sitio vulnerado puede ser utilizado para desplegar enlaces falsos de «compensaciones», inyectar código malicioso diseñado para vaciar las billeteras digitales de los visitantes o redirigir los pagos hacia cuentas controladas por terceros. Este panorama se agrava al considerar que, entre el 29 de octubre y el 6 de noviembre, se contabilizaron ocho incidentes en bancos y empresas del sector cripto, evidenciando que un servidor descuidado o un plugin desactualizado actúan como una puerta abierta para los cibercriminales.
Una de las vulnerabilidades más preocupantes es la registrada como CVE-2026-119977 (aviso GHSA-4w3m-c66w-69mg), que afecta a las versiones de WordPress desde la 4.7 hasta la 7.1.3. El fallo ocurre durante el proceso de actualización completa del núcleo: los archivos nuevos, incluyendo el instalador, se descomprimen temporalmente en una carpeta predecible y accesible desde internet, específicamente dentro de wp-content/upgrade. Un atacante que logre aprovechar esa ventana temporal de tiempo podría ejecutar código en el servidor sin necesidad de poseer una cuenta de usuario, según informó The Hacker News.
A pesar de ser una operación técnicamente difícil de ejecutar con precisión, se está intentando realizar a gran escala. El equipo de seguridad de Wordfence reportó haber bloqueado 62.969 intentos de explotación en las 24 horas previas al 30 de octubre, manteniendo un ritmo de aproximadamente 20.000 intentos diarios hacia el 3 de noviembre. La gravedad de la situación llevó a la Agencia de Ciberseguridad de EE. UU. (CISA) a incluir esta vulnerabilidad en su catálogo de fallos explotados, otorgando a las agencias federales un plazo de corrección hasta el 6 de noviembre. Cabe destacar que existe una discrepancia en la evaluación del riesgo: mientras que WordPress califica el peligro como bajo, Wordfence le ha asignado una puntuación de 8,1 sobre 10. Para mitigar este riesgo, WordPress publicó la versión 7.1.4 el 28 de octubre, aunque se advierte que no basta con tener una versión superior, sino que se debe confirmar que se cumple el mínimo requerido de cada rama (de la 4.7 a la 6.7).
Paralelamente, la firma de seguridad Sucuri describió la existencia de una puerta trasera (backdoor) para WordPress con una capacidad de persistencia alarmante. Esta amenaza se caracteriza por guardarse en múltiples ubicaciones simultáneamente; si el administrador borra una copia, las demás se encargan de reinstalarla. El código malicioso se oculta en el archivo .user.ini, que carga código antes de cada página, y en archivos críticos que WordPress carga al arrancar, como db.php y advanced-cache.php. Además, se infiltra en el tema, en plugins falsos duplicados bajo el nombre de «plugin obligatorio», en la base de datos, en tareas programadas con nombres aleatorios e incluso en la memoria compartida del servidor, lo que permite que la amenaza sobreviva a una limpieza superficial de archivos. Asimismo, este sistema crea una cuenta de administrador oculta para mantener el acceso. Ante esto, la recomendación es realizar una limpieza integral de todos estos puntos en una sola sesión, reiniciar PHP para vaciar la memoria y cambiar todas las credenciales.
Finalmente, se ha identificado una falla crítica en CryptoPayment Gateway, un plugin para cobrar con criptomonedas, calificada con una puntuación de 10 sobre 10 (CVE-2026-81648) en sus versiones 1.2.1 y 1.2.2. El problema radica en que un punto del código no verifica la identidad de quien realiza la petición, permitiendo que cualquier usuario, sin iniciar sesión, pueda leer la configuración de las billeteras guardadas, modificar los datos de cobro o eliminar archivos del servidor. La firma Defused Cyber ha detectado intentos de explotación provenientes de servicios de hosting que se promocionan como «sin KYC». Actualmente no existe una versión corregida, ya que WordPress.org retiró el plugin de su directorio el 28 de agosto debido a problemas de seguridad. Se recomienda a cualquier comercio que utilice este plugin eliminarlo inmediatamente y tratar cualquier clave de billetera guardada en él como comprometida.
Para quienes administran sitios web, la recomendación es solicitar estas comprobaciones a sus desarrolladores o proveedores de hosting. Para los usuarios finales, la regla de seguridad fundamental permanece: evitar conectar billeteras digitales o firmar transacciones inesperadas en páginas que, aunque conocidas, presenten comportamientos inusuales.
